Apple dołącza do inicjatywy FIDO Alliance: będzie mniej haseł i prawdziwe „passwordless”

6 września, 2022

Termin „passwordless” jest poruszany okazjonalnie na łamach AVLab. Do najważniejszych firm w Polsce, jako prekursorów tego kierunku uwierzytelniania i autoryzacji ulepszonego typu, zaliczamy Cyberus Labs oraz Secfense. Ten standard logowania już przecież nie jest nowy, ale za sprawą Apple ma większą szansę by upowszechnić się w domach i w firmach. Dlaczego zatem założycielom FIDO Alliance – ani Microsoftowi ani Google, nie udało się tego zrobić wcześniej? I dlaczego o tzw. „passwordless” słyszeli chyba tylko dziennikarze IT oraz ludzie tworzący bezpieczeństwo? Ponieważ, aby logować się w ten sposób, musisz to włączyć, rejestrując wcześniej po staremu konto online – „podaj maila -> utwórz login > utwórz hasło-> zaloguj się -> włącz dwustopniowe logowanie -> dodaj urządzenie lub klucz bezpieczeństwa”. Tymczasem Apple podczas zakładania nowego konta online na urządzeniach macOS, iOS, iPadOS i podaniu loginu oraz dodatkowych danych np. imienia, nazwiska oraz maila, będzie generowało od razu parę kluczy publiczny-prywatny, zamiast używania tradycyjnego hasła – trzeba będzie skorzystać z Touch ID lub Face ID, aby potwierdzić rejestrację. Zatem teraz bezpieczeństwo logowania będzie bazować na kryptografii klucza publicznego a Apple nazywa to Passkey. Brzmi poważnie?

				
					let platformProvider = ASAuthorizationPlatformPublicKeyCredentialProvider("example.com")
let platformKeyRequest = platformProvider.createCredentialRegistrationRequest(challenge: challenge, displayName: "Anne Johnson", userID: "anne_johnson")
let authController = ASAuthorizationController([platformKeyRequest])
authController.delegate = self

				
			

Podczas rejestrowania się w serwisie internetowym generowana będzie para nowych kluczy publiczny-prywatny. Apple wyśle Twój klucz prywatny (tajny) na serwer do tzw. iCloud Keychain (pęk kluczy Apple) – czyli tam, gdzie teraz przechowujesz swoje hasła i uzyskujesz do tego miejsca dostęp biometrycznie. Natomiast klucz publiczny (jawny) będzie przechowywany na serwerze dewelopera aplikacji. Jedno z drugim jest powiązane.

Nawiasem, Microsoft obsługuje tę technologię w Windows Hello a wsparcie dla urządzeń Apple zostanie dodane do usług online już niebawem (jeszcze w tym roku, twierdzi Microsoft). Google w Androidzie planuje integrację z „passwordless” od FIDO Alliance pod koniec 2022 roku.

Passwordless od Apple

Do tej pory z tak zwanym „bez-hasłowym” uwierzytelnianiem („passwordless”) w większości przypadków sprawę załatwiał klucz bezpieczeństwa np. Yubikey. Już za około 200zł w podstawowej wersji otrzymujemy możliwość bardzo bezpiecznego logowania się do serwisów online i offline (intranet, systemy komputerowe) bez wpisywania loginów i haseł –YubiKey mają możliwość tworzenia bezhasłowych poświadczeń FIDO2 (passkey), odkąd seria YubiKey 5 stała się dostępna w połowie 2018 roku. Urządzeniem zastępującym klucz bezpieczeństwa może być też smartfon z usługą Google, a już niebawem także urządzenia Apple.

Apple umożliwi synchronizację „Passkey” (tak nazywa swoje nowe „passwordless”) pomiędzy swoimi urządzeniami za pomocą AirDrop lub po zeskanowaniu kodu QR w przypadku, jeśli chcesz wykorzystać iPhone do zalogowania się w serwisie internetowym na Linux lub Windows.

Tutaj zobacz nasz mega ciekawy poradnik „Yubikey – czym jest i jak poprawnie skonfigurować klucz bezpieczeństwa z kontem Google i Microsoft?”

Problemem z rozpowszechnieniem się standardu tego rodzaju logowania było podejmowanie dodatkowych kroków przez użytkownika w celu aktywacji „passwordless”. Ale nie tylko, ponieważ aby standard FIDO2 wszedł pod strzechy, wymaga wdrożenia na szeroką skalę przez portale internetowe, firmy świadczące usługi online, sklepy w Internecie itd. Dodatkowo, jak wspominam w pierwszym akapicie, należy takie logowanie włączyć, aby korzystać z kryptografii klucza publicznego. Po aktywacji znacząco podnosi to odporność na ataki phishingowe, ale konfiguracja sprawia trudność mniej technicznym użytkownikom.

Tymczasem Apple udostępnia publiczną dokumentację ulepszonego, tego samego standardu logowania FIDO, umożliwiając generowanie pary kluczy publiczny-prywatny już na etapie zakładania konta online. Tutaj naprawdę mamy do czynienia z tzw. „passwordless”. Oczywiście dostępne będą metody odzyskiwania dostępu do konta. Jednym z nich jest na razie resetowanie pary kluczy – funkcja „func resetKeys()” z dokumentacji.

Brak haseł – passwordless w kryptografii klucza publicznego

Algorytmem czerpiącym z kryptografii klucza publicznego jest w tym przypadku RSA o minimalnym standardzie długości klucza 2048 bitów. O bezpieczeństwie takiego algorytmu świadczy fakt, że nawet komputery kwantowe nie są w stanie „złamać w rozsądnym czasie” algorytmu RSA o długości 2048 bitów, 3076 bitów, 4096 bitów (w usługach bankowych normą jest 2048 bitów). Dlaczego?

Bo kluczem do bezpieczeństwa algorytmu RSA jest CZAS.

Algorytm RSA nigdy nie był „nie-do-zhackowania”. Jego bezpieczeństwo opiera się na czasie łamania szyfru. Współczesne szyfry kryptograficzne są tak zaprojektowane, aby ich dekodowanie trwało nieskończenie długo, czyli w praktyce nie będzie to możliwe za życia całej cywilizacji ludzkości. I tutaj wkraczamy w erę kwantową 

W jaki sposób robi się logowanie „passwordless”?

Zamiast hasła, generowana jest para kluczy na urządzeniu użytkownika, co ma swoje zalety, ponieważ nikt nie będzie mógł przechwycić klucza prywatnego podczas jego tworzenia. I teraz tak:

  • Klucz publiczny jest wysyłany i przechowywany na serwerze dewelopera aplikacji np. Google lub Microsoft.
  • Klucz prywatny pozostaje offline oraz w pęku kluczy w iCloud Keychain, gdzie dostęp do tego miejsca jest szyfrowany end-to-end – jak twierdzi Apple, kopia Passkey w chmurze ma dodatkowo zapobiegać problemom z logowaniem w przypadku utraty urządzenia, a tak poza tym, nikt nie ma do tego miejsca dostępu, nawet Apple (szyfrowanie end-to-end).
 

Nie będzie możliwości pomyłki, więc bez dostępu do smartfonu lub innego urządzenia użytkownika nie ma możliwości zalogowania się metodą „passwordless”. Hakerzy będą mieć znacząco utrudnione zadanie.

„Bezhasła” w firmie + Apple SSO (single sign-on)

Applowski “passwordless”, przypomnę raz jeszcze – „Passkey”, obsługiwać będzie logowanie korporacyjne Single Sign-On i już można je aktywować na urządzeniach podłączonych do Azure Active Directory. Zatem w korporacjach standard „passwordless” może być wprowadzony szybciej niż przy poprzednich próbach firm Google i Microsoft. Jednakże na rynku nadal jest mnóstwo systemów i aplikacji, które nie obsługują 2FA, a co dopiero nowoczesnego standardu FIDO/WebAuth, o którym jest ten artykuł.

Odpowiedź na to ma polski produkt Secfense, bo potrafi „dodać nowoczesną warstwę logowania”, nie ingerując w kod aplikacji ani systemu. To bardzo ważne, gdyż implementacja takiego zabezpieczenia może być kosztowna i skomplikowana, a często wręcz niemożliwa, jeżeli aplikacja ma zamknięty kod lub programem zarządza zewnętrzna firma.

Czy firmy zaadoptują Passkey do ochrony bezpieczeństwa firmy?

Słowem o passwordless…

Podsumowując dzięki „kluczom dostępu (Passkey)” od Apple świat online przyśpieszy w kierunku prawdziwego odejścia od haseł, które są bardzo podatne na ataki socjotechniczne. Pary kluczy publiczny-prywatny będą generowane na urządzeniach końcowych użytkowników, co zminimalizuje ryzyko związane z atakami przez niezaufaną stronę trzecią. Z kolei dzięki przechowywaniu Passkey w pęku kluczy Apple (iCloud Keychain), dostępna będzie synchronizacja na wszystkich urządzeniach użytkownika, aby nie utracić możliwości logowania.

Prawdopodobnie za Microsoftem, Apple i Google pójdą giganci technologiczni, tacy jak Facebook, Twitter, Amazon oraz inne aplikacje należące do konglomeratu Meta. Niestety w bankach w Polsce (i nie tylko w naszym kraju) nadal nie ma możliwości logowania się za pomocą kluczy bezpieczeństwa, dlatego pomimo milowego kroku Apple, nie spodziewamy się technologicznych ewolucji w bankach.

  • Demo passwordless dla klucza Yubikey i Windows Hello możesz przetestować na stronie demo.yubico.com.
  • Tutaj jest Konfiguracja Windows Hello pod kątem passwordless – logowanie do systemu biometrycznie albo kodem PIN.
  • Prawdziwe logowanie „bez hasła” możesz już włączyć dla swojego prywatnego konta Microsoft.
passwordless Microsoft - konfiguracja
Na dole strony podanej w linku możesz włączyć tzw. passwordless.
Adrian Ścibor

Adrian Ścibor

W ramach działań związanych z cyberbezpieczeństwem odpowiada w AVLab za przeprowadzanie testów rozwiązań ochronnych przed zagrożeniami. Opracowuje strategie oraz narzędzia, które pomagają w ochronie danych i systemów przed cyberatakami. Współuczestnik międzynarodowej grupy non-profit AMTSO, która zrzesza ekspertów IT.
Adrian Ścibor

Adrian Ścibor

W ramach działań związanych z cyberbezpieczeństwem odpowiada w AVLab za przeprowadzanie testów rozwiązań ochronnych przed zagrożeniami. Opracowuje strategie oraz narzędzia, które pomagają w ochronie danych i systemów przed cyberatakami. Współuczestnik międzynarodowej grupy non-profit AMTSO, która zrzesza ekspertów IT.

PODZIEL SIĘ:

Czy ten artykuł był pomocny?

Kliknij na gwiazdkę, aby zagłosować!

Średnia ocena: 4.5 / 5. Liczba głosów: 8

Jak na razie nikt nie podzielił się opinią.

Subscribe
Powiadom o
guest
0 komentarzy
Inline Feedbacks
View all comments

Wyrażam zgodę na przesłanie oferty drogą telefoniczną przez IT Partners security sp. z o.o. z siedzibą Katowicach ul.Padereskiego 35 na podany przeze mnie adres e-mail zgodnie z ustawą z dnia 10 maja 2018 roku o ochronie danych osobowych (Dz. Ustaw z 2018, poz. 1000) oraz zgodnie z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (RODO).

Wyrażam zgodę na przesłanie oferty drogą mailową przez IT Partners security sp. z o.o. z siedzibą Katowicach ul.Padereskiego 35 na podany przeze mnie adres e-mail zgodnie z ustawą z dnia 10 maja 2018 roku o ochronie danych osobowych (Dz. Ustaw z 2018, poz. 1000) oraz zgodnie z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (RODO).

[ninja_tables id=”27481″]